Już tylko miesiąc pozostał polskim przedsiębiorcom na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych w ramach Krajowego Systemu Cyberbezpieczeństwa (KSC). Ostateczny termin mija 3 października 2026 roku. Nowe obowiązki, wynikające z unijnej dyrektywy NIS2, mogą objąć nawet 38 tysięcy podmiotów i wiążą się z groźbą wielomilionowych kar za ich niewypełnienie.
Nowelizacja polskiej ustawy o krajowym systemie cyberbezpieczeństwa, która implementuje dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Od 7 maja przedsiębiorcy mogą składać wnioski o wpis do wykazu KSC, a czas na dopełnienie formalności kończy się 3 października. Obowiązek ten dotyczy podmiotów uznanych w ustawie za kluczowe lub ważne, które spełniały określone kryteria na dzień wejścia w życie przepisów i nie zostały wpisane do systemu z urzędu.
Regulacje w głównej mierze skierowane są do średnich i dużych przedsiębiorstw. Szacuje się, że nowe prawo może dotyczyć około 38 tysięcy podmiotów w całej Polsce, z czego blisko 11 tysięcy to firmy niepubliczne. Konieczność wdrożenia nowych procedur bezpieczeństwa oraz audytów może znacząco obciążyć firmowe budżety i wpłynąć na ich płynność finansową.
Celem dyrektywy NIS2 jest podniesienie poziomu cyberbezpieczeństwa w kluczowych sektorach gospodarki Unii Europejskiej. Polska ustawa precyzuje, które branże są objęte nowymi wymaganiami. Obowiązek zgłoszenia do KSC dotyczy firm działających między innymi w następujących obszarach:
Firmy z tych sektorów muszą samodzielnie ocenić, czy spełniają kryteria wielkościowe i branżowe, a następnie złożyć odpowiedni wniosek do wykazu prowadzonego w ramach KSC.
Przedsiębiorcy, którzy zignorują nowe obowiązki, muszą liczyć się z poważnymi konsekwencjami finansowymi. Ustawodawca przewidział surowe sankcje dla podmiotów, które nie dostosują się do wymogów cyberbezpieczeństwa.
Za brak dostosowania się podmiotom kluczowym grożą kary finansowe sięgające równowartości 10 milionów euro lub 2% całkowitych rocznych przychodów. W szczególnych przypadkach maksymalna kara może wynieść nawet 100 milionów złotych.
Wysokość kar ma na celu zmotywowanie firm do potraktowania kwestii cyberbezpieczeństwa z najwyższym priorytetem i zainwestowania w odpowiednie technologie oraz procedury ochronne, aby zabezpieczyć zarówno swoją działalność, jak i całą infrastrukturę krytyczną kraju.
Łukasz Sianożęcki, „Cyberbezpieczeństwo obciąży firmowe budżety. Przedsiębiorcy mają czas do 3 października”, Salon24, 2026. https://www.salon24.pl/u/lukaszsianozecki/1520104,cyberbezpieczenstwo-obciazy-firmowe-budzety-przedsiebiorcy-maja-czas-do-3-pazdziernika
„Czy Twoja firma musi wpisać się do wykazu KSC? Sprawdź przed 3 października”, Gazeta Prawna. https://www.gazetaprawna.pl/nowe-technologie/cyberbezpieczenstwo/artykuly/11289709,czy-twoja-firma-musi-wpisac-sie-do-wykazu-ksc-sprawdz-przed-3-pazdziernika.html
„Do 3 października firmy muszą się zgłosić. Nowe przepisy o cyberbezpieczeństwie obejmą też region”, pless.pl. https://www.pless.pl/wiadomosci/96337-do-3-pazdziernika-firmy-musza-sie-zglosic-nowe-przepisy-o-cyberbezpieczenstwie-obejma-tez-region
„Firmy mają czas tylko do 3 października. Nowe obowiązki mogą mocno uderzyć w budżety”, e-magazyny.pl. https://e-magazyny.pl/aktualnosci/firmy-maja-czas-tylko-do-3-pazdziernika-nowe-obowiazki-moga-mocno-uderzyc-w-budzety/
„Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) – wpis do wykazu KSC otwiera dostęp do platformy S46 Cyber-Hub”, gov.pl. https://www.gov.pl/web/cyfryzacja/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa-ksc—wpis-do-wykazu-ksc-otwiera-dostep-do-platformy-s46-cyber-hub
